Investigación en Progreso: Método de Inclusión de Hacking Ético en el Proceso de Testing de Software

Investigación en Progreso: Método de Inclusión de Hacking Ético en el Proceso de Testing de Software

Research in Progress: Method for Inclusion of Ethical Hacking in Software Testing Process

Ariel Giannone1,2

1. Programa de Maestría en Ingeniería de Sistemas de Información.

Escuela de Posgrado, Facultad Regional de Buenos Aires. Universidad Tecnológica Nacional. Argentina.

1. Laboratorio de Investigación y Desarrollo en Espacios Virtuales de Trabajo (LIDEVT UNLa). Grupo de Investigación en Sistemas de Información (GISI). Universidad Nacional de Lanús. Argentina.

giannoneariel@gmail.com

Resumen—Debido al crecimiento exponencial de Internet y a que las organizaciones poseen cada vez mas información, se hace imprescindible bloquear y eliminar todas las intrusiones posibles. Gracias al hacking ético es posible detectar y corregir algunas de las vulnerabilidades antes que el sistema salga a la luz. Con el fin de mejorar este proceso se intentan incluir estas técnicas y métodos en el proceso tradicional de testing de software dentro de las organizaciones.

Abstract— Due to the exponential growth of the Internet and to the fact that organizations have an increasing amount of digital information, it is essential to identify so as to prevent all possible intrusions. In order to improve this prevention, it is proposed to incorporate into the Software Testing process all existing Ethical Hacking concepts and tools.

Palabras Claves—Hacking ético, Proceso de Testing

Index Terms— Ethical Hacking, Testing Process

1. JUSTIFICACIÓN

El crecimiento explosivo de Internet ha traído muchas cosas buenas tales como el comercio electrónico, facilidad en el acceso a grandes cantidades de almacenamiento de material de referencia, computación colaborativa, e-mail, nuevas vías para la publicidad, información distribuida, por nombrar unos pocos. Como ocurre con la mayoría de los avances tecnológicos, también hay un lado oscuro: los hackers. Los gobiernos, las empresas, y ciudadanos privados de todo el mundo están ansiosos por ser parte de esta revolución, pero tienen miedo que algún intruso (hacker) irrumpa en su servidor Web y reemplace su logotipo con pornografía, lea su correo electrónico, robe su número de tarjeta de crédito de un sitio de compras en línea, o implante software encubierto para transmitir secretos de su organización a la Internet abierta. [12] El software inseguro está debilitando las finanzas, salud, defensa, energía, y otras infraestructuras críticas. A medida que la infraestructura digital se hace cada vez más compleja e interconectada, la dificultad de lograr la seguridad en aplicaciones aumenta exponencialmente. [11] La información para la organización es un activo que debe ser protegido del acceso no autorizado de personas y el mal uso de algunas otras cuestiones ilegales, la piratería es muy común en Internet y tiene afectado a la organización en términos de dinero, la pérdida de recursos y pérdida de imagen. [18]

Si la historia sirve de indicio, la comunidad de tecnología de la información fue incapaz de construir sistemas de información en red que pueden prevenir consistentemente ataques con éxito [5]. La escalada natural de amenazas ofensivas contra las medidas defensivas ha demostrado una y otra vez que no hay sistemas prácticos que se puedan construir que sean invulnerables a los ataques. Incluso una organización tal como el Departamento de Defensa de EE.UU. en la red ha demostrado de forma continua el grado de susceptibilidad que posee ante los ataques.

Se supone que el factor principal que contribuye a la mala situación de la seguridad en Internet es la falta de pruebas de software de calidad. La complejidad intelectual asociada con el diseño de software, codificación, y prueba, prácticamente asegura la presencia de "errores" en el software que puede ser explotada por atacantes. La mayoría del software hoy en día es la prueba de errores por el enfoque penetración-parche; cuando alguien encuentra una seguridad explotable "agujero" del fabricante de software emite un parche. Este enfoque ha demostrado ser insuficiente, ya que después de los hechos de seguridad deja abiertas las vulnerabilidades de errores hasta que sean explotados. Sin embargo, los fabricantes de software sostienen que este enfoque es económicamente atractivo, ¿por qué invertir tiempo y dinero en las pruebas de control si los consumidores no están dispuestos a pagar una prima por software seguro?. Otra variable es el tiempo de salida al mercado dicta que el software se libera en la forma más temprana como sea posible, a menudo con graves defectos no detectados de seguridad [20]. El problema presentado por falta de pruebas de calidad también se agrava ante ataques automatizados, la homogeneidad del sistema operativo y las malas prácticas.[17].

Algunos informáticos tienen la impresión equivocada de que su sitio Web no sería un objetivo citando numerosas razones, tales como "No tiene nada interesante en él” o “los hackers nunca han oído hablar de mi empresa". Lo que estas personas no se dan cuenta es que cada sitio web es un objetivo. El objetivo de muchos hackers es simple: hacer algo espectacular y luego asegurarse de que todos sus amigos sepan que hizo. Mismo, a muchos hackers simplemente no les importa que empresa u organización piratear, solo lo hacen porque pueden. Por ejemplo, los administradores Web de UNICEF (Naciones Unidas para la Infancia) podrían bien

252        Giannone A. 2016. Investigación en Progreso: Método de inclusión de Hacking Ético en el proceso de Testing de software.

Revista Latinoamericana de Ingeniería de Software, 4(6): 252-254, ISSN 2314-2642

haber pensado que ningún pirata informático los atacaría. Sin embargo, en enero de 1998, su página fue completamente desfigurada. [12].

1. FUNDAMENTOS

Inicialmente las intrusiones en computadoras eran bastante inocentes, siendo el mayor daño el robo de tiempo de procesamiento. Otras veces, estos ataques serian en forma de bromas. Sin embargo, estas intrusiones no permanecieron así por mucho tiempo. En ocasiones, los intrusos menos talentosos, o menos cuidadosos, accidentalmente “bajaban” un sistema o dañaban sus archivos, y los administradores de sistemas tendrían que reiniciar o hacer reparaciones. Otras veces, cuando se descubrieron sus actividades y se les negó el acceso, los intrusos reaccionaron con acciones aun más destructivas. Cuando el número de estas intrusiones informáticas destructivas se hicieron “famosas”, debido a la visibilidad del sistema o la magnitud del daño infligido, se convirtieron en noticias y los medios de comunicación recogieron estas historias. En lugar de usar el término preciso de "criminal informático", los medios de comunicación comenzaron a usar el término "Hacker" (Sustantivo. Persona que disfruta el aprendizaje de los detalles de los sistemas informáticos y cómo ampliar sus capacidades, en contraste con la mayoría de los usuarios de computadoras, que prefieren aprender sólo el mínimo cantidad necesaria.) [13] para referirse a las personas que irrumpen en los ordenadores para la diversión, la venganza, o su propia ganancia. Dado que llamar a alguien "hacker" fue originalmente concebido como un cumplido, profesionales de la seguridad informática prefieren utilizar el término "cracker" o "intruso" para los hackers que giran hacia el lado oscuro de la informática, la piratería. [12].

...